啟用並使用 AWS 安全漏洞評估功能

AWS 角色

在 AWS 中，AWS 管理使用者必須建立啟用掃描所需的 AWS 帳戶。

如要在 AWS 中建立安全漏洞評估角色，請按照下列步驟操作：

1. 使用 AWS 管理員使用者帳戶，前往 AWS 管理主控台的「IAM」角色頁面。
2. 在「Service or Use Case」(服務或用途) 選單中，選取「lambda」。
3. 新增下列權限政策：
   • AmazonSSMManagedInstanceCore
   • AWSLambdaBasicExecutionRole
   • AWSLambdaVPCAccessExecutionRole
4. 依序點選「Add Permission」>「Create Inline policy」，建立新的權限政策：
   1. 開啟下列頁面並複製政策： AWS 和 VM 威脅偵測安全漏洞評估的角色政策。
   2. 在 JSON 編輯器中貼上政策。
   3. 指定政策名稱。
   4. 儲存政策。
5. 開啟「信任關係」分頁。

6. 貼入下列 JSON 物件，並新增至任何現有的陳述式陣列：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Statement1 or replace with a unique statementId",
         "Effect": "Allow",
         "Principal": {
           "Service": "cloudformation.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
   

7. 儲存角色。

稍後在 AWS 安裝 CloudFormation 範本時，您會指派這個角色。

收集要掃描的 AWS 資源相關資訊

在啟用 AWS 漏洞評估的步驟中，您可以自訂設定，掃描特定 AWS 區域、識別 AWS 資源的特定標記，以及特定硬碟 (HDD) 磁碟區 (SC1 和 ST1)。

建議您先備妥這些資訊，再設定 Vulnerability Assessment for AWS。

確認 Security Command Center 已連線至 AWS

AWS 安全漏洞評估服務需要存取 Cloud Asset Inventory 維護的 AWS 資源清單，前提是 Security Command Center 已連線至 AWS。

如果尚未建立連線，啟用 AWS 安全漏洞評估服務時，系統會要求您設定連線。

如要設定連線，請參閱「連線至 AWS 以收集設定和資源資料」。

在 Security Command Center 中啟用 AWS 的安全漏洞評估功能

您必須在機構層級啟用 AWS 的安全漏洞評估功能。 Google Cloud

1. 前往 Security Command Center 的「風險總覽」頁面：

   前往「風險總覽」頁面

2. 選取要啟用 AWS 安全漏洞評估功能的機構。

3. 按一下「設定」。

4. 在「弱點評估」資訊卡中，按一下「管理設定」。「弱點評估」頁面隨即開啟。

5. 選取「Amazon Web Services」分頁標籤。

6. 在「Service enablement」(啟用服務) 區段中，將「Status」(狀態) 欄位變更為「Enable」(啟用)。

7. 在「AWS 連接器」部分，確認狀態顯示「已新增 AWS 連接器」。如果狀態顯示「未新增任何 AWS 連接器」，請按一下「新增 AWS 連接器」。請先完成「連線至 AWS 以收集設定和資源資料」中的步驟，再進行下一個步驟。

8. 設定 AWS 運算資源和儲存空間的掃描設定。如要變更預設設定，請按一下「編輯掃描設定」。如要瞭解各個選項，請參閱「自訂 AWS 運算資源和儲存空間的掃描設定」。

9. 如果您已為 AWS 啟用 VM 威脅偵測，並部署 CloudFormation 範本做為該功能的一部分，請略過此步驟。在「掃描設定」部分，按一下「下載 CloudFormation 範本」。系統會將 JSON 範本下載至您的工作站。您必須在每個需要掃描安全漏洞的 AWS 帳戶中部署範本。

自訂 AWS 運算資源和儲存空間的掃描設定

本節說明可用的選項，用於自訂 AWS 資源的掃描作業。編輯 Vulnerability Assessment for AWS 掃描時，這些自訂選項位於「AWS 運算資源和儲存空間的掃描設定」部分。

部署 AWS CloudFormation 範本

請在建立 AWS 連接器至少六小時後，執行下列步驟。

如要進一步瞭解如何部署 CloudFormation 範本，請參閱 AWS 文件中的「從 CloudFormation 控制台建立堆疊」。

1. 前往 AWS 管理主控台的「AWS CloudFormation Template」(AWS CloudFormation 範本) 頁面。
2. 按一下「堆疊」>「使用新資源 (標準)」。
3. 在「建立堆疊」頁面中，選取「選擇現有範本」，然後「上傳範本檔案」，即可上傳 CloudFormation 範本。
4. 上傳完成後，請輸入不重複的堆疊名稱。請勿修改範本中的任何其他參數。
5. 選取「指定堆疊詳細資料」。「設定堆疊選項」頁面隨即開啟。
6. 在「Permissions」(權限) 下方，選取您先前建立的 AWS 角色。
7. 如果系統出現提示，請勾選方塊表示確認。
8. 按一下「提交」即可部署範本。堆疊需要幾分鐘才會開始執行。

AWS 控制台會顯示部署狀態。如果 CloudFormation 範本無法部署，請參閱疑難排解。

掃描作業開始執行後，如果偵測到任何安全漏洞，系統會產生相關發現項目，並顯示在Google Cloud 控制台的 Security Command Center「發現項目」頁面中。

在控制台中查看發現項目

您可以在 Google Cloud 控制台中查看 AWS 安全漏洞評估結果。如要查看發現項目，您至少需要「安全中心發現項目檢視者」 (roles/securitycenter.findingsViewer) IAM 角色。

如要在 Google Cloud 控制台中查看 AWS 安全漏洞評估結果，請按照下列步驟操作：

疑難排解

如果您已啟用 Vulnerability Assessment 服務，但系統未執行掃描，請檢查下列事項：

• 確認 AWS 連接器設定正確無誤。
• 確認 CloudFormation 範本堆疊已完整部署。在 AWS 帳戶中的狀態應為 CREATION_COMPLETE。